Veilig bestanden delen in het MKB: zonder dat iedereen een nieuwe app hoeft te leren

De meeste datalekken bij het MKB komen niet door hackers, maar door een verkeerd gedeelde link of een vergeten gastaccount. Zo regel je veilig bestanden delen in een middag.

Je hebt het vast weleens gezien: een collega deelt snel even een document via WeTransfer, een leverancier appt een Excel-bestand met klantgegevens, of iemand zet een gedeelde map open "voor de zekerheid maar voor iedereen". Het werkt, en niemand klaagt. Tot het moment dat een bestand op de verkeerde plek belandt.

Veilig bestanden delen klinkt als iets voor grote bedrijven met een IT-afdeling. Dat is het niet. Met een paar simpele afspraken regel je dit in een middag, zonder nieuwe software te kopen. Hieronder een praktische aanpak.

Waarom dit ertoe doet (ook als jullie klein zijn)

De meeste datalekken bij het MKB ontstaan niet door hackers, maar door een verkeerd verzonden link of een bijlage die te lang blijft staan. Denk aan:

• Een offerte met klantgegevens die via een publieke link maandenlang vindbaar is.
• Een gedeelde map waar de stagiair van vorig jaar nog steeds in kan.
• Een ZIP-bestand met salarisstroken in een gewone e-mail, zonder wachtwoord.

De AVG verwacht van je dat je "passende maatregelen" neemt. Voor het MKB komt dat neer op: zorg dat alleen de juiste mensen erbij kunnen, en niet langer dan nodig.

Drie soorten bestanden, drie aanpakken

Voor je software gaat kiezen, sorteer eerst wat je deelt. Niet alles vraagt dezelfde behandeling.

1. Losse bestanden naar buiten

Denk aan een offerte naar een prospect, een factuur naar de boekhouder, een conceptcontract naar een klant. Eenmalig, met een afgebakende ontvanger.

Wat werkt: de deellink uit OneDrive, SharePoint of Google Drive, ingesteld op "specifieke personen" of "iedereen met de link én een wachtwoord". Zet een vervaldatum (bijvoorbeeld 14 dagen). Bij echt gevoelige zaken: zet het bestand op alleen-lezen en geef de ontvanger geen downloadrechten.

2. Doorlopende samenwerking

Een projectmap met een externe ontwerper, een gedeelde planning met je accountant, of een klantdossier waar twee teams aan werken.

Wat werkt: nodig externen uit als gast in je Microsoft 365- of Google Workspace-omgeving en geef toegang per map. Niet per bestand (dat wordt onbeheerbaar) en niet op het hoogste mapniveau (dan zien ze meer dan bedoeld). Zet in je agenda elke drie maanden vijftien minuten om de gastenlijst te bekijken.

3. Grote of vertrouwelijke bestanden

Videobestanden, een database-export, een map vol scans met persoonsgegevens. Te groot voor mail, te gevoelig voor een publieke link.

Wat werkt: een tijdelijke gedeelde map met wachtwoord en vervaldatum, óf een versleuteld ZIP-bestand waarbij je het wachtwoord via een ander kanaal (telefoon, sms) doorgeeft. Niet hetzelfde kanaal als waar het bestand staat — anders is het wachtwoord zinloos.

Vier praktische regels die het verschil maken

1. E-mail is voor bestanden zonder gevoelige inhoud. Een algemene brochure mag in de bijlage. Een klantlijst, een salarisstrook of een kopie ID hoort daar niet. Stuur in dat geval een link met toegangscontrole.
2. Geef nooit "iedereen met de link" zonder vervaldatum. Die link blijft eeuwig leven, ook als hij doorgestuurd wordt. Stel standaard 7 of 14 dagen in.
3. Werk met mappen, niet met losse bestanden. Per bestand rechten regelen wordt een puinhoop. Bouw een mapstructuur waar de toegang logisch volgt: een klantmap, een leveranciersmap, een interne map.
4. Ruim op na afloop. Project klaar? Externe relatie beëindigd? Verwijder de toegang dezelfde week. Niet "later". Later komt niet.

Wat je beter níet doet

• Bestanden delen via WhatsApp voor werk. Je hebt geen overzicht wie wat heeft, en bestanden blijven op privé-telefoons staan.
• USB-sticks heen-en-weer. We schreven er eerder over: dat ene beursstickje is een risico op zich.
• Persoonlijke Dropbox of Google Drive-accounts gebruiken voor zakelijke documenten. Als die medewerker vertrekt, vertrekken de bestanden mee.
• Wachtwoord in dezelfde mail als het bestand. Klinkt vanzelfsprekend, gebeurt elke dag.

Een mini-check voor volgende week

Geen grote uitrol nodig. Plan een halfuur en doe deze vier dingen:

1. Open je SharePoint, OneDrive of Google Drive en bekijk welke deellinks actief zijn. Veel beheerportalen tonen dit onder "Gedeeld" of "Externe toegang".
2. Verwijder of beperk alles wat ouder is dan drie maanden en niet meer nodig.
3. Stel als standaard in dat nieuwe deellinks na 14 dagen verlopen.
4. Maak één vaste plek (een interne notitie of korte pagina) waar staat: zo delen wij bestanden. Twee A4'tjes is genoeg.

Dit lijkt klein, maar je voorkomt 80% van de typische lekken. De rest gaat over goede afspraken — niet over duurdere software.

Even meekijken?

Wil je weten wie er op dit moment allemaal toegang heeft tot jullie mappen, mailboxen en gedeelde systemen? Dat is precies waar onze toegang-check voor bedoeld is: een gestructureerde doorlichting waar je zelf mee verder kunt. En als je vooral je e-mail veilig wilt houden tijdens dit soort uitwisselingen, kijk dan eens naar mail-beveiliging met SPF, DKIM en DMARC.